Ryuk Ransomware utilisé dans les attaques abusant du bogue Windows MSHTML
En collaboration avec security RiskIQ, les chercheurs en sécurité de Microsoft ont annoncé que la vulnérabilité récemment détaillée et corrigée CVE-2021-40444 a été activement exploitée par des acteurs malveillants qui ont ensuite déployé le tristement célèbre ransomware Ryuk sur des systèmes compromis.
Nous avons déjà couvert la vulnérabilité CVE-2021-40444 qui a été détaillée dans la session Patch Tuesday régulière de ce mois-ci par Microsoft. Le bogue concerne une vulnérabilité d'exécution de code à distance, déclenchée dans le moteur Windows MSHTML, lorsqu'une victime ouvre un fichier Office spécialement conçu et chargé de logiciels malveillants. Les fichiers doivent contenir un contrôle ActiveX malveillant pour permettre aux pirates d'abuser du bogue.
RiskIQ pense que l'attaque est l'œuvre du groupe de cybercriminels Wizard Spider. L'infrastructure utilisée dans cette dernière campagne malveillante ciblant les systèmes qui n'avaient jusqu'à présent aucun correctif pour CVE-2021-40444 se chevauchait et présentait des modèles similaires à l'infrastructure utilisée par Wizard Spider dans le passé dans des campagnes plus anciennes utilisant la charge utile du ransomware Ryuk.
Selon les chercheurs, les pirates n'exploitent le bogue MSHTML que dans un premier temps, pour prendre pied sur un système. À partir de ce moment, ils déploient des chargeurs de balises Cobalt Strike qui se verrouillent sur le reste de ce qui est probablement l'infrastructure du serveur Wizard Spider.
Cette nouvelle attaque a permis de rappeler à la communauté infosec qu'il existe encore d'autres gangs de ransomware, en plus des groupes REvil et DarkSide. Au cours des derniers mois, tous les gros titres liés aux attaques de ransomware se sont toujours concentrés sur ces deux derniers acteurs de la menace, qui à leur tour auraient pris de longues vacances. Reste à savoir si le gang du ransomware Ryuk essaie de redevenir plus pertinent et de combler l'espace laissé vacant par REvil et DarkSide.
Le fait qu'il soit déjà prouvé que la vulnérabilité CVE-2021-40444 est exploitée pour des attaques aussi dangereuses que cela montre à quel point il est extrêmement important de maintenir les réseaux et tous les appareils qui y sont connectés avec les dernières mises à jour des éditeurs le même jour le nouveau le patch est sorti. Le correctif pour la vulnérabilité MSHTML est déjà sorti et toute autre attaque réussie qui en abuse devrait être complètement évitable.
